Dependency-Track API Server

Dependency-Track 是一个智能组件分析平台，允许组织识别和降低软件供应链中的风险。Dependency-Track 采用独特且高度有益的方法，通过利用软件物料清单（SBOM）的功能，提供了传统软件成分分析（SCA）解决方案无法实现的能力。

Dependency-Track 监控其产品组合中每个应用程序的所有版本的组件使用情况，以便主动识别组织中的风险。该平台采用 API 优先设计，非常适合在持续集成（CI）和持续交付（CD）环境中使用。

快速开始

docker pull dependencytrack/apiserver
docker volume create --name dependency-track
docker run -d -m 8192m -p 8080:8080 --name dependency-track -v dependency-track:/data dependencytrack/apiserver

特性

• 组件支持：
  • 应用程序
  • 库
  • 框架
  • 操作系统
  • 容器
  • 固件
  • 文件
  • 硬件
• 跟踪组织产品组合中每个应用程序的组件使用情况
• 快速识别受影响的内容和位置
• 识别多种风险形式，包括
  • 存在已知漏洞的组件
  • 过时组件
  • 修改组件
  • 许可证风险
  • 更多功能即将推出...
• 集成多个漏洞情报源，包括：
  • 国家漏洞数据库 (NVD)
  • NPM 公共安全公告
  • Sonatype OSS Index
  • VulnDB（来自Risk Based Security）
  • 更多即将推出
• 强大的策略引擎，支持全局和每个项目的策略
  • 安全风险和合规性
  • 许可证风险和合规性
  • 操作风险和合规性
• 生态系统无关，内置仓库支持：
  • Cargo (Rust)
  • Composer (PHP)
  • Gems (Ruby)
  • Hex (Erlang/Elixir)
  • Maven (Java)
  • NPM (Javascript)
  • NuGet (.NET)
  • Pypi (Python)
  • 更多即将推出
• 识别API和外部服务组件，包括：
  • 服务提供商
  • 端点URI
  • 数据分类
  • 数据流向
  • 信任边界穿越
  • 身份验证要求
• 包含全面的审计工作流，用于分类结果
• 可配置通知，支持Slack、Microsoft Teams、Webhooks和电子邮件
• 支持标准化SPDX许可证ID，并按组件跟踪许可证使用情况
• 支持导入CycloneDX软件物料清单（SBOM）
• 易于阅读的组件、项目和产品组合指标
• 原生支持Kenna Security、Fortify SSC、ThreadFix和DefectDojo
• API优先设计便于与其他系统集成
• API文档以OpenAPI格式提供
• OAuth 2.0 + OpenID Connect (OIDC) 支持单点登录（authN/authZ）
• 支持内部管理用户、Active Directory/LDAP和API密钥
• 易于安装和配置，几分钟内即可启动并运行

社区

访问Dependency-Track项目网站获取一般信息、教程和社区资源链接。